PT-2021-23958 · Sourcegraph · Sourcegraph

Publicado 2021-12-13 · Atualizado 2022-02-15 · CVE-2021-43823

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Sourcegraph anteriores à 3.33.2

Descrição:

A vulnerabilidade permite que um agente autenticado, mas não autorizado, adivinhe sequências de caracteres no código-fonte privado por meio de um ataque de canal lateral. Isso afeta os recursos de Pesquisas Salvas e Monitoramento de Código. Um ataque bem-sucedido requer a criação de muitas Pesquisas Salvas ou Monitores de Código para confirmar a existência de uma sequência específica, permitindo potencialmente que um invasor adivinhe tokens formatados, como chaves de API.

Recomendações:

Para versões anteriores à 3.33.2, atualize para a versão 3.33.2 ou uma versão posterior para proteger seu sistema.

Se a atualização não for possível, desative as Pesquisas Salvas e os Monitores de Código como uma solução alternativa temporária.

Correção

Information Disclosure

Side Channel Attack

Enumeração de Fraquezas

CWE-200

CWE-203

Identificadores relacionados

CVE-2021-43823

GHSA-CPQ7-HMVV-29W9

Produtos afetados

Sourcegraph

Referências · 6

• ❌ https://github.com/sourcegraph/sourcegraph/commit/a88d90a8302c492282186d39718cd8fb093c14fa · Correção, Deleted
• https://nvd.nist.gov/vuln/detail/CVE-2021-43823 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-43823 · Aviso do Fabricante
• https://t.me/cibsecurity/37545 · Publicação no Telegram
• https://t.me/cibsecurity/33887 · Publicação no Telegram
• ❌ https://github.com/sourcegraph/sourcegraph/security/advisories/GHSA-cpq7-hmvv-29w9 · Nota, Deleted